Luka XSS w wtyczce Twitscription dla WordPress (CVE-2025-13623)

Co wiadomo

Wtyczka Twitscription dla WordPress do wersji 0.1.1 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr PATH_INFO w pliku admin.php. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie dotyczy właścicieli stron korzystających z podatnej wersji wtyczki, wpływając na bezpieczeństwo i reputację serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Twitscription i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do pliku admin.php, monitorować logi serwera pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie unikania klikania w podejrzane linki. Priorytetem jest minimalizacja ekspozycji podatnej funkcji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference